Tor और VPN को मिलाने पर DNS कहाँ जाता है

दो प्राइवेसी टूल चल रहे हैं, एक पेज लोड नहीं होता, और एक रिज़ॉल्वर जाँच कहती है कि ब्राउज़र के बाहर किसी चीज़ को नाम मिला है। इसे लीक रिपोर्ट बनाने से पहले उस अदलाबदली का नाम लें जिससे यह आया। Tor और VPN के सेटअप में कम से कम तीन अलग-अलग मालिकों वाली तीन अलग नाम क्वेरियाँ होती हैं, और उन्हें उसी क्रम में देखना सबसे तेज़ तरीका है यह जानने का कि कौन-सी गलत बर्ताव कर रही है।

इसे लीक कहने से पहले हर अदलाबदली का नाम लें

पहली अदलाबदली VPN एंडपॉइंट को ही हल करती है, और यह कोई भी सुरक्षा मौजूद होने से पहले होती है। दूसरी Tor Browser के लिए गंतव्य हल करती है, जो नाम को स्थानीय रूप से हल करने के बजाय प्रॉक्सी को सौंप सकता है। तीसरी मशीन पर बाकी सब कुछ कवर करती है, जिसमें अपडेट जाँच, मेल क्लाइंट और ऑपरेटिंग सिस्टम की अपनी सेवा क्वेरी शामिल हैं। इनमें से केवल पहली ही बाकी दो के शामिल हुए बिना हो सकती है।

इनमें से हर एक अलग रास्ता अपना सकती है, और ब्राउज़र में एक ही जाँच केवल अपना अनुरोध देखती है। एक परिणाम को तीनों की स्थिति मानना वहीं से शुरू होता है जहाँ ज़्यादातर भ्रम पैदा होता है।

कुछ भी बदलने से पहले लिख लें कि कौन-से नाम किस परत के हैं। निजी संगठनात्मक नाम, एक सार्वजनिक गंतव्य और टनल का एंडपॉइंट स्वयं एक ही आवश्यकता नहीं रखते, और उन्हें एक श्रेणी मानने वाली नीति कुछ तोड़ देगी।

बूटस्ट्रैप क्वेरी टनल से पहले होती है

होस्टनाम के साथ कॉन्फ़िगर क्लाइंट को टनल खोलने के लिए वह नाम हल करना ही होगा, और उस पल क्वेरी ढोने के लिए कोई टनल मौजूद नहीं है। वर्तमान नेटवर्क पर ऑपरेटिंग सिस्टम जो भी रिज़ॉल्वर देता है वही उत्तर देता है, जो कैप्टिव पोर्टल, होटल रिज़ॉल्वर या सार्वजनिक हो सकता है। यह टनल में लीक नहीं है, क्योंकि अभी कोई टनल है ही नहीं।

ब्राउज़र की सुरक्षित DNS सेटिंग बदलने से भी इस क्वेरी पर असर नहीं पड़ता, क्योंकि यह ऐसी सेवा की है जो ब्राउज़र के बाहर चलती है और कोई भी पेज खुलने से पहले शुरू होती है। अगर एंडपॉइंट का नाम हल न हो, तो टनल के अंदर की कोई नीति मदद नहीं करेगी, क्योंकि विफलता कॉन्फ़िगरेशन में बताई गई हर चीज़ से एक चरण पहले होती है।

यह एकमात्र जगह है जहाँ एंडपॉइंट के लिए शाब्दिक पता इस्तेमाल करना, अगर प्रदाता इसे समर्थन देता हो, निर्भरता जोड़ने के बजाय हटा देता है। यह पते बदलने वाले प्रदाता का अनुसरण करने की क्षमता भी हटा देता है, इसलिए यह सौदा वास्तविक है और इसे खोजने के बजाय तय किया जाना चाहिए।

ब्राउज़र और बाकी मशीन अलग हैं

Tor का SOCKS इंटरफ़ेस गंतव्य होस्टनाम को प्रॉक्सी तक पहुँचाने का समर्थन करता है, यानी दूर का सिरा हल करता है और स्थानीय मशीन कभी नहीं पूछती। प्रॉक्सी का समर्थन करने वाला सामान्य ऐप्लिकेशन पहले नाम को स्थानीय रूप से हल कर सकता है और फिर मिले पते से जुड़ सकता है, जो उस गंतव्य के लिए स्थानीय क्वेरी पैदा करता है जिसे उपयोगकर्ता ने प्रॉक्सी से जाता माना था। इसलिए दोनों ऐप्लिकेशन एक ही प्रॉक्सी सेटिंग साझा करते हुए अलग-अलग जगहों पर लीक कर सकते हैं। साझा प्रॉक्सी पते में कुछ भी नहीं बताता कि दोनों में से कौन-सा व्यवहार इस्तेमाल हो रहा है।

ब्राउज़र एक और परत जोड़ते हैं जब सुरक्षित DNS सक्षम होता है, क्योंकि ब्राउज़र अपना प्रदाता चुन सकता है और सिस्टम रिज़ॉल्वर को पूरी तरह बायपास कर सकता है। टनल क्लाइंट इस बीच पूरी मशीन के लिए टनल से रिज़ॉल्वर धकेल सकता है। ये दोनों सेटिंग एक साथ सही हो सकती हैं और फिर भी अलग प्रोग्रामों के लिए अलग व्यवहार बताती हैं।

एक टेस्ट पेज से अनुमान लगाने के बजाय उस प्रोग्राम को जाँचें जिसने अनुरोध किया। टनल के अंदर ढोई गई क्वेरी और ऐसी क्वेरी के बीच का अंतर जो कभी Tor तक नहीं पहुँची, ठीक वही अंतर है जो एक रिज़ॉल्वर पता नहीं दिखा सकता।

हर प्रोग्राम जाँचें, फिर इरादे से तुलना करें

अवलोकन अलग-अलग करें: सिस्टम क्या इस्तेमाल करेगा, ब्राउज़र किसके लिए कॉन्फ़िगर है, और SOCKS कनेक्शन नाम ढोता है या पता। आखिरी बात दूरस्थ और स्थानीय समाधान के बीच का अंतर है, और SOCKS एक्सटेंशन विनिर्देश बताता है कि होस्टनाम पहले हल होने के बजाय कैसे भेजा जाता है।

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

फिर जो देखा उसकी तुलना उससे करें जो आपका इरादा था। आपके चुने रिज़ॉल्वर द्वारा टनल से हल किया गया सार्वजनिक नाम वही निष्कर्ष नहीं है जो फ़ॉलबैक के दौरान किसी सार्वजनिक रिज़ॉल्वर को सौंपा गया निजी नाम है, और आम तौर पर केवल दूसरे के लिए कार्रवाई ज़रूरी होती है। पहला डिज़ाइन के अनुसार चलने वाला कॉन्फ़िगरेशन है, भले ही रिपोर्ट में वह अपरिचित लगे।

जिन अपवादों को आप स्वीकारते हैं उन्हें लिख लें, जिसमें वह बूटस्ट्रैप क्वेरी भी है जिसे सुरक्षित नहीं किया जा सकता। लिखा हुआ अपवाद एक डिज़ाइन निर्णय है, जबकि वही अपवाद बाद में खोजा जाए तो दोष जैसा दिखता है। जिसे वह मिलेगा वह उसे वैसा ही मानेगा, और आप पूरी बैठक यह समझाते हुए बिताएँगे कि ऐसा क्यों नहीं है।